Legal
Acord d'encàrrec del tractament
Versió 1.0 · En vigor des del 1/9/2026
Acord d'encàrrec del tractament
Versió 1.0 · Aplicable des de la data d'acceptació.
Aquest acord regula el tractament de dades personals que es fa a través de la plataforma Aulia, en compliment de l'article 28 del Reglament (UE) 2016/679 (RGPD).
L'accepta la persona que representa l'empresa client, en nom d'aquesta.
1. Les parts i el seu paper
| Qui | Paper |
|---|---|
| L'empresa client que contracta la formació per a la seva plantilla | Responsable del tractament |
| L'operador (la consultoria que imparteix la formació) | Encarregat del tractament |
| [Raó social del titular], NIF [NIF] | Subencarregat |
L'empresa client, en acceptar aquest acord, autoritza expressament que l'operador recorri al titular de la plataforma com a subencarregat, en els termes que aquí s'estableixen.
2. Objecte, durada i naturalesa
Objecte. Impartir formació en compliment normatiu a les persones que l'empresa client designi, i generar l'evidència documentada que acredita que aquella formació s'ha fet.
Durada. Mentre duri la relació entre l'empresa client i l'operador, més el període de bloqueig que estableix la clàusula 8.
Naturalesa i finalitat. Recollida, registre, conservació, consulta i, quan escaigui, despersonalització de les dades necessàries per impartir la formació i acreditar-la.
3. Categories de dades i d'interessats
Interessats: el personal de l'empresa client a qui s'assigni formació, i les persones que l'empresa designi per administrar-la.
Dades: identificatives (nom i correu), de la relació laboral estrictament necessàries (l'empresa a la qual pertany i el paper), i les que genera la mateixa formació: progrés, intents d'avaluació, resultat, certificat i traça tècnica (adreça IP i navegador de la sessió d'examen).
No es tracten dades de categories especials de l'article 9 del RGPD.
4. Instruccions
L'operador i el titular tracten les dades únicament seguint les instruccions documentades de l'empresa client. Aquestes instruccions inclouen les que consten en aquest acord i les que l'empresa client anoti a la plataforma, en particular els terminis de conservació.
Si l'operador o el titular consideren que una instrucció infringeix la normativa de protecció de dades, ho comunicaran immediatament a l'empresa client.
La plataforma no fixa cap termini de conservació pel seu compte. Mentre l'empresa client no n'anoti cap, no es bloqueja ni es despersonalitza res.
5. Confidencialitat
Les persones autoritzades a tractar les dades estan subjectes a deure de confidencialitat, que subsisteix un cop acabada la relació.
6. Seguretat
Es mantenen mesures tècniques i organitzatives apropiades, entre les quals:
- xifratge de les dades en trànsit i de les còpies de seguretat;
- control d'accés per files a la base de dades: la separació entre empreses no la fa la
interfície, la fa el motor de base de dades;
- evidència inalterable: el progrés, els intents i els certificats no es poden modificar ni
esborrar des de l'aplicació;
- correcció de l'avaluació al servidor, de manera que el resultat no depèn de res que passi al
dispositiu de qui s'examina;
- còpies de seguretat diàries fora de la màquina de servei, verificades amb restauracions
periòdiques;
- segon factor d'autenticació exigible als comptes amb capacitat d'administració.
7. Subencarregats
L'empresa client autoritza els subencarregats següents, tots ells dins de la Unió Europea:
| Subencarregat | Servei | Ubicació |
|---|---|---|
| Hetzner Online GmbH | Allotjament i còpies de seguretat | Alemanya |
| Brevo (Sendinblue SAS) | Correu transaccional | França |
| Mollie B.V. | Cobrament entre operador i titular | Països Baixos |
| Holded | Facturació i comptabilitat | Espanya |
No hi ha transferències internacionals de dades fora de la Unió Europea.
Qualsevol incorporació o substitució de subencarregat es comunicarà amb una antelació de [termini], i l'empresa client s'hi podrà oposar de manera raonada.
8. Conservació, bloqueig i supressió
Vençut el termini que l'empresa client hagi instruït:
- Les dades passen a estat de bloqueig: es retiren del tractament ordinari i es conserven a
disposició de jutges, tribunals i administracions públiques durant el termini de prescripció, d'acord amb l'article 32 de la LOPDGDD.
- Vençut el bloqueig, es despersonalitzen: es retira el nom del certificat i la traça tècnica.
El certificat no s'esborra. Acredita una obligació de la mateixa empresa client i, un cop despersonalitzat, ja no identifica ningú: acredita que una persona d'aquella empresa va superar aquella formació aquell dia.
En acabar la relació, i a elecció de l'empresa client, les dades es tornen en format estructurat o es bloquegen en els termes anteriors.
9. Assistència al responsable
L'operador i el titular assistiran l'empresa client, tenint en compte la naturalesa del tractament:
- en l'atenció dels drets dels interessats;
- en les avaluacions d'impacte i consultes prèvies, si escauen;
- posant a la seva disposició la informació necessària per demostrar el compliment d'aquest
acord.
10. Violacions de seguretat
Es comunicarà a l'empresa client sense dilació indeguda qualsevol violació de la seguretat de les dades de què es tingui coneixement, amb la informació disponible perquè pugui complir el que disposen els articles 33 i 34 del RGPD.
11. Auditoria
L'empresa client pot verificar el compliment d'aquest acord mitjançant la informació que se li faciliti i, si escau, auditories acordades prèviament, amb un preavís raonable i sense afectar la seguretat de les dades d'altres clients.
12. Registre d'activitats
L'operador i el titular mantenen el registre d'activitats de tractament que els correspon segons l'article 30.2 del RGPD, i el posaran a disposició de l'autoritat de control quan ho requereixi.